Un dipendente installa un'estensione del browser che riassume le e-mail, propone appuntamenti in agenda o scrive bozze di testo in Gmail o Outlook Web. L'installazione richiede un minuto e chiede l'autorizzazione per accedere al contenuto della pagina. Questa autorizzazione viene concessa senza che nessuno legga esattamente cosa viene condiviso, quanto tempo viene conservato, se il modello viene addestrato su di esso, o se il fornitore lo rivende. L'estensione funziona, fa risparmiare tempo, e poi si diffonde in modo informale: un collega la vede, chiede il link, la installa anche lui.
Le estensioni del browser rimangono fuori dalla maggior parte dei processi di acquisto. Non viene acquistato nulla, non c'è contratto, nessuna fattura che salti all'occhio del reparto finanziario. L'installazione avviene tramite il browser stesso, spesso con un account personale o di lavoro che non passa attraverso l'IT. Per il dipendente non si tratta di un 'nuovo strumento' nel senso che richiede approvazione — è un piccolo aiuto, paragonabile a un correttore ortografico. Il fatto che l'estensione abbia accesso in lettura a tutta la posta, incluse allegati, contratti e dati dei clienti, è un dettaglio tecnico che è stato liquidato con un clic durante l'installazione.
Questo schema non è unico per la posta. Lo stesso percorso passa attraverso uno strumento che nessuno ha approvato in senso più ampio, attraverso dati aziendali incollati in una finestra di chat gratuita, e attraverso un reparto che ha stipulato un abbonamento di propria iniziativa. L'estensione del browser è solo la variante con l'accesso più diretto: non a un singolo documento, ma all'intera casella di posta.
Un elenco IT di software approvato non intercetta questo. L'estensione non compare nella panoramica dei contratti, non nel flusso delle fatture, non in un log SSO se questo non viene utilizzato. L'unico modo per sapere se è presente è chiederlo — alle persone che la usano. E questo funziona solo se chiederlo non ha conseguenze. Nel momento in cui una segnalazione porta a un rimprovero, l'informazione si interrompe. La prossima estensione allora non viene segnalata, ma usata in modo più silenzioso.
L'estensione non scompare nemmeno perché è utile. Chi riesce a gestire la posta più velocemente non ci rinuncia perché da qualche parte esiste un documento di policy che lo sconsiglia. Un divieto senza alternativa sposta il comportamento verso un altro account, un altro browser, un telefono privato. Il problema diventa allora più invisibile, non più piccolo.
Il punto di partenza non è individuare e sanzionare, ma mappare cosa c'è e su questa base fare una scelta. Questo inizia con un inventario che non guarda solo a cosa è stato acquistato, ma a cosa viene usato: come costruire un inventario AI descrive questo approccio, incluso il tema di come far sì che le persone segnalino spontaneamente cosa usano.
Per ogni estensione che emerge, sono rilevanti alcune domande. Quali dati riguarda — solo ciò che è visibile sullo schermo, o l'intera casella di posta tramite un collegamento API? Il contenuto viene elaborato da un modello esterno, e in tal caso, a quali condizioni? C'è una motivazione aziendale per il suo utilizzo, o sostituisce qualcosa che l'organizzazione aveva già? Cosa deve essere documentato per ogni applicazione — chi ne è il responsabile, quali dati vi entrano, quale livello di rischio si applica — è descritto in cosa deve documentare per ogni applicazione. Non è un esercizio giuridico fine a se stesso; è la base per decidere caso per caso: consentire, sostituire con una variante gestita, o eliminare gradualmente.
A questo si aggiunge anche lo sguardo verso l'esterno. Non ogni funzione AI nell'ambiente di posta proviene da un'estensione installata autonomamente da un dipendente. Un fornitore di uno strumento esistente può aver aggiunto una funzione AI in un aggiornamento, senza che questo sia stato considerato come una nuova valutazione. Cosa significhi questo per i contratti esistenti e gli accordi con i responsabili del trattamento è descritto in un fornitore che ha integrato l'AI nel proprio prodotto.
Lo scopo di questo inventario non è individuare il dipendente che ha installato l'estensione. Chi arriva a questo risultato non vedrà più la prossima estensione, perché nessuno segnalerà più nulla. Lo scopo è avere un quadro di ciò che effettivamente avviene con i dati della posta, i documenti contrattuali e la comunicazione con i clienti, in modo che un dirigente o un General Counsel possa fare una scelta fondata su cosa rimane, cosa viene sostituito e cosa viene eliminato gradualmente — con una motivazione che può essere presentata a un'autorità di controllo o a un revisore.
La stessa domanda che rivela che un'estensione legge la posta rivela anche quanto tempo quell'estensione effettivamente sottrae al lavoro che prima veniva svolto manualmente. Queste due domande sono strettamente collegate: una riguarda il rischio e il controllo, l'altra riguarda dove cambia l'impiego del tempo nel lavoro stesso. Per quest'ultimo aspetto, la scansione del lavoro di FTE TO AI calcola per ogni compito quale parte del lavoro può essere rilevata dall'AI, indipendentemente da quale strumento lo fa — un passo successivo per chi, dopo l'inventario, vuole sapere cosa significhi l'AI già presente per l'organizzazione del lavoro.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.